Normy ISO kluczowe w procesie ochrony danych

Co to jest ISO?

ISO, czyli International Organization for Standardization, to międzynarodowa organizacja pozarządowa, która ustanawia normy jakości. Organizację współtworzą niezależni członkowie – po jednym z każdego państwa. Polskę w ISO reprezentuje Polski Komitet Normalizacyjny.

Z kolei norma ISO jest dokumentem powszechnie dostępnym, opracowanym przez międzynarodowych ekspertów. Jest ustalana na zasadzie konsensusu. Określa standardy działalności produktowej, usługowej, badawczej, bezpieczeństwa i higieny pracy. Opiera się na podstawach naukowych oraz danych sprawdzonych pod względem słuszności technicznej, ekonomicznej i użytkowej.

Normy ISO określają przedwstępnie, w jaki sposób będzie wyglądać wiele usług czy produktów z którymi stykamy się na codzień. Przykładowo, norma ISO 216 definiuje rozmiar kartki papieru A4.

ISO zajmuje się również odświeżaniem swoich norm. Aktualizacje norm ISO są wydawane raz na 3-5 lat.

Czym jest certyfikat ISO?

Wymagania klientów dotyczą m.in jakości produktów i usług. Certyfikacja ISO to proces, który potwierdza, że dany podmiot spełnia normy, dotyczące swojej dziedziny. Przykładowo, wiele firm produkcyjnych chwali się spełnianiem normy ISO 14001, która zawiera zbiór standardów i praktyk dla efektywnie działającego systemu zarządzania środowiskiem.

Proces certyfikacji przeprowadzają uprawnione firmy akredytujące, potwierdzone przez PCA (Polskie Centrum Akredytacji).

Firma akredytująca przeprowadza audyt i nadaje certyfikat, ale nie może pomagać w przygotowaniu do certyfikacji ISO. Tworzyłoby to konflikt interesów

Certyfikacja ISO 9001

PN-EN ISO 9001:2015 to międzynarodowy standard określający ogólne ramy dla zarządzania jakością w każdej organizacji, niezależnie od jej wielkości, typu czy charakteru prowadzonej działalności.

Decyzja o przyjęciu systemu zarządzania jakością w oparciu o wymagania normy PN-EN ISO 9001 to zorientowanie firmy w stronę zarządzania procesowego. Co to oznacza?

Dla przedsiębiorstwa jest to przede wszystkim zadanie zrozumienia powiązanych ze sobą procesów funkcjonujących w firmie: jak takie procesy działają na co dzień, jak wygląda ich uporządkowanie, nadzorowanie oraz doskonalenie. Rozpatrując te procesy warto uwzględnić podejście oparte na ryzyku, aby wykorzystać szanse oraz zapobiegać niepożądanym skutkom.

Podejście procesowe z założenia dąży do wyeliminowania dublujących się działań oraz przypadkowości w określaniu i realizacji celów organizacji. Podejście oparte na ryzyku umożliwia określenie czynników, które mogą powodować odchylenia od zaplanowanych wyników dotyczących zarówno procesów, jak i całego systemu zarządzania jakością ISO 9001, a także wdrożenie zapobiegawczych środków nadzoru.

Sprawdź nasz artykuł: Co to jest ISO 9001? Międzynarodowy standard dla zarządzania jakością

Norma ISO 9001 opiera się na kilku głównych zasadach, które enumeratywnie wymienia. Należą do nich:

• orientacja na klienta,
• przywództwo,
• zaangażowanie ludzi,
• przywoływane wcześniej podejście procesowe,
• świadome podejmowanie decyzji (na podstawie gromadzonych dowodów),
• zarządzanie relacjami.

W normie ISO 9001 czytelnik znajdzie szereg wyspecyfikowanych wymagań, których dotyczy system zarządzania jakością ISO. Wymagania są dedykowane tym organizacjom, które dążą do wykazania swojej zdolności do stałego dostarczania wyrobów czy usług zaspokajających wymagania klienta oraz spełnienia wymagań prawnych czy regulacyjnych. Wymagania ISO 9001 mogą także mieć zastosowanie w organizacjach, które receptę na zwiększenie zadowolenia klienta upatrują w skutecznym stosowaniu systemu.

Sprawdź nasz artykuł: System zarządzania jakością zgodny z ISO 9001. Jakie korzyści płyną z jego wdrożenia?

ISO 27001 - system zarządzania bezpieczeństwem informacji

Norma ISO 27001 określa wymagania dla ustanowienia, wdrożenia, utrzymania i ciągłego doskonalenia systemu zarządzania bezpieczeństwem informacji. Zawiera wytyczne dotyczące szacowania i postępowania z ryzykiem związanym z bezpieczeństwem informacji.

Celem wdrożenia normy ISO 27001 jest zabezpieczenie informacji w firmie oraz ułatwienie procesu nadzorowania przedsiębiorstwa wraz ze wszystkimi obszarami jej działalności. Ważnym elementem jest zapewnienie, że firma działa zgodnie ze zmieniającymi się przepisami prawa i potrafi w porę reagować na te zmiany.

Nie bez znaczenia jest również łatwiejsze zdobywanie nowych partnerów biznesowych, klientów oraz różnego typu dofinansowań z Unii Europejskiej. Istotną korzyścią jest zabezpieczenie danych przetwarzanych w procesach funkcjonujących w firmie. Poleganie na sprawdzonym systemie zarządzania bezpieczeństwem informacji pomaga wdrożyć długoterminowe strategie w organizacji.

Korzyści z ISO 27001 - sprawdź nasz artykuł

ISO 27001 - nowy standard na rynku

Dla wielu firm na rynku spełnienie wyśrubowanych wymagań ISO 27001 może wydawać się ciężkim wyzwaniem. Warto jednak pamiętać, że o ile w pierwszych etapach, podczas wdrożenia odpowiednich rozwiązań będzie wymagane poniesienie kosztów, tak w dłuższej perspektywie systemowe podejście do bezpieczeństwa może uchronić nas niejednokrotnie przed wydatkami związanymi np. z koniecznością zapłaty kar pieniężnych za brak zapewnienia odpowiedniej ochrony danych.

Zarządzanie ciągłością działania - ISO 22301

Jednym ze standardów, które wprowadza dobre praktyki w zakresie zarządzania ciągłością działania jest norma ISO 22301.

Wdrożenie wytycznych wskazanych ww. dokumencie przygotowuje organizację na odpowiednie i przede wszystkim skuteczne reagowanie na pojawiające się incydenty i w konsekwencji chroni przed potencjalnymi szkodami, nie tylko finansowymi, ale i reputacyjnymi.

Zarządzanie ciągłością działania (PN-EN ISO 22301:2020)

Działania prowadzone zgodnie ze standardem pozwalają na uregulowanie całego procesu zarządzania zasobami organizacji, zapewniają ich ochronę i powrót do równowagi sprzed awarii, w tym:

• przygotowują na incydenty, które mogłyby zakłócić jej funkcjonowanie,
• zapewniają podejmowanie działań prewencyjnych, które zmniejszają prawdopodobieństwo ich wystąpienia,
• pomagają odpowiednio przygotować się na sytuacje kryzysowe,
• zwiększają prawdopodobieństwo skutecznego przeciwdziałania zagrożeniom,
• zabezpieczają i usprawniają powrót do normalnego funkcjonowania.

Najtrudniejszym i najbardziej zasadochłonnym etapem zarządzania ciągłością działania jest opracowanie planów dostosowanych do specyfiki organizacji, dlatego jeżeli jesteś zainteresowany wdrożeniem systemu zarządzania ciągłością działania i/lub uzyskaniem certyfikatu poświadczającego zgodność z normą ISO 22301 - Skontaktuj się z nami.

ISO 29115 - najlepsze techniki uwierzytelniania użytkowników

PN-ISO 29115:2013 Technika Informatyczna – techniki bezpieczeństwa – Ramy uzasadnionej pewności poziomów uwierzytelniania to międzynarodowy standard, w którym określono rozwiązania zapewniające wiarygodność uwierzytelniania jednostki, odnosząc się przy tym do poziomów zaufania jakimi można obdarzyć wszystkie procesy, czynności oraz technologie użyte do opracowania i zarządzania tożsamością użytkowników.

W przeciwieństwie do innych tego typu projektów, norma ma charakter uniwersalny i może być stosowana we wszystkich sektorach.

Standard wprowadza cztery poziomy wiarygodności (LoA1-LoA4), których wybór dla konkretnej aplikacji powinien być poprzedzony oceną ryzyka dla takiej transakcji czy usługi.

W normie znajdziemy też charakterystykę trzech faz w strukturze wiarygodności, w stosunku do których określono najbardziej prawdopodobne zagrożenia oraz rekomendowane środki bezpieczeństwa konieczne do wdrożenia dla danego poziomu wiarygodności.

Wspomniane powyżej trzy fazy to:

• rejestracja, w tym procesy: założenie aplikacji i inicjalizacja, udowadnianie tożsamości, weryfikacja tożsamości, ewidencja i rejestracja; 
•  zarządzanie danymi uwierzytelniającymi – procesy związane z zarządzaniem cyklem życia danych lub środków niezbędnych do ich wytworzenia (wytworzenia danych, ich wydanie, przechowywanie, aktywacja danych, unieważnienie, odnowienie, ewidencja czynności);
• uwierzytelnianie – użycie danych przez podmiot w celu skorzystania z usługi.

Wśród obowiązkowych elementów, które wprowadza standard są także: informowanie użytkowników o procedurze rejestracji, opracowanie dokumentów jasno opisujących sposoby wytwarzania danych uwierzytelniających, wdrożenie odpowiednich standardów bezpieczeństwa w odniesieniu do wykorzystywanych narzędzi i baz danych, w tym ochrona przed atakami w sieci, stosowanie szyfrowania transmisji danych i metod kryptograficznych. Zalecane jest także stosowanie uwierzytelniania wieloczynnikowego, co daje wyższą gwarancję zapobiegania zagrożeniom.

PN-ISO 29115:2013 - więcej przeczytasz tutaj

Standardy zarządzania ISO - pomożemy wprowadzić je w twojej organizacji!

Uzyskanie certyfikatu zgodności z wymaganiami normy PN-EN ISO 9001:2015, PN-EN ISO 27001:2017, PN-EN ISO 22301:2014 jest dowodem stosowania przez organizację wysokich standardów zarządzania oraz troski o bezpieczeństwo informacji i ochronę danych.

Pozwala m.in na efektywne wykorzystywanie zasobów, wyeliminowanie lub ograniczanie sytuacji kryzysowych, optymalizację przebiegu procesów, umacnianie kontaktów z klientami, czy podnoszenie jakości świadczonych usług i produkowanych wyrobów.

Zespół LexDigital przeprowadzi Cię przez cały proces ustanowienia i wdrożenia ww. systemów zarządzania realizując poniższe zadania:

1. audyt zerowy;
2. wykonanie analizy ryzyka oraz opracowanie dokumentacji;
3. implementacja zasad oraz szkolenia dla kadry pracowniczej;
4. weryfikacja systemu poprzez audyt wewnętrzny i przegląd zarządzania oraz nadzór nad niezgodnościami i ocenę skuteczności działań korygujących.

Skontaktuj się z nami! Więcej informacji znajdziesz na naszej stronie internetowej.